Am 9. November 2026 hat Apple eine Reihe von Sicherheitsupdates veröffentlicht, die acht Schwachstellen in iMessage, Bluetooth, AirPlay und der von Google entwickelten Komprimierungsbibliothek Brotli beheben. Das auffälligste Problem — CVE-2026-113961 — ermöglichte es einem entfernten Angreifer, einem iMessage-Gruppenchat beizutreten und dessen Nachrichten zu empfangen. Die Updates stehen für iOS/iPadOS 27.2.1, macOS Golden Gate 27.2.1 und watchOS 26.6.1 zur Verfügung, allerdings unterscheidet sich der Umfang der Patches je nach Plattform: Geräte mit iOS 18.7.12 und bestimmte Apple-Watch-Modelle haben keine Korrekturen für iMessage und Brotli erhalten.
iMessage-Schwachstellen: Unbefugter Zugriff auf Gruppenchats
Laut dem Apple-Sicherheitshinweis für iOS/iPadOS 27.2.1 wurden zwei Schwachstellen in der Komponente Messages behoben:
- CVE-2026-113961 — ein Autorisierungsfehler, der es einem entfernten Angreifer erlaubte, einem iMessage-Gruppenchat beizutreten und dessen Nachrichten zu empfangen. Apple hat das Problem durch eine verbesserte Validierung behoben.
- CVE-2026-113960 — eine Schwachstelle, durch die ein neu zu einer Gruppe hinzugefügter Benutzer Zugriff auf Nachrichten erhalten konnte, die vor seinem Beitritt gesendet wurden. Behoben durch Entfernen des verwundbaren Codes.
Apple legt nicht offen, ob diese Schwachstellen bereits ausgenutzt wurden, welche Voraussetzungen ein Angreifer erfüllen muss, ob die Gruppenmitglieder einen unbefugt beigetretenen Benutzer sehen und ob alle Teilnehmer eines Chats ihre Geräte aktualisieren müssen, um geschützt zu sein. Diese Informationslücken erschweren die Bewertung des tatsächlichen Risikos erheblich.
CVE-2026-111497: kritische Brotli-Schwachstelle aus dem CISA-KEV-Katalog
Unter den behobenen Schwachstellen verdient CVE-2026-111497 besondere Aufmerksamkeit. Dabei handelt es sich um einen Fehler einer Schreiboperation außerhalb des Puffers (out-of-bounds write) im Decoder der Komprimierungsbibliothek Brotli von Google, der bei der Verarbeitung speziell präparierter Daten zu Speicherbeschädigung führen kann. Die CNA (Google Inc.) bewertet die Schwachstelle nach CVSS 4.0 mit 9.2 — Critical.
Nach Angaben der NVD betrifft die Schwachstelle Google Brotli in den Versionen 1.0.3 bis 1.0.10, 1.1.0 bis 1.1.1 und 1.2.0 bis 1.2.1. CISA hat CVE-2026-111497 am 27. Oktober 2026 in den Known Exploited Vulnerabilities-Katalog aufgenommen und den 10. November 2026 als Frist für die Behebung gesetzt — die Deadline fiel damit faktisch mit der Veröffentlichung der Apple-Updates zusammen.
Genau CVE-2026-111497 sollte bei diesem Update-Paket die höchste Priorität beim Patchen erhalten: Es ist die einzige der acht Schwachstellen, die einen bestätigten Status CISA KEV und eine kritische CVSS-Bewertung aufweist. Für die iMessage- und Bluetooth-Schwachstellen gibt es eine solche Bestätigung der Ausnutzung nicht. Wir haben bereits über diese Schwachstelle im Kontext ihrer Auswirkungen auf das Ökosystem geschrieben — Brotli wird in einer Vielzahl von Produkten eingesetzt, von Node.js bis hin zu Server-Proxys.
Bluetooth- und AirPlay-Schwachstellen
Alle neun veröffentlichten Updates, einschließlich watchOS 26.6.1, enthalten Korrekturen für fünf Schwachstellen in den Bluetooth- und AirPlay-Subsystemen:
- CVE-2026-113965 — ein bösartiges Bluetooth-Gerät konnte eine Kopplung ohne Nutzerinteraktion herstellen.
- CVE-2026-113964 — ein Angreifer in Bluetooth-Reichweite konnte die Begrenzung der Anzahl der Versuche zur Eingabe des Kopplungscodes umgehen und sich ohne Beteiligung des Benutzers verbinden.
- CVE-2026-113968 — Umgehung der Ratebegrenzung für Versuche zur Eingabe des Kopplungscodes aus Bluetooth-Reichweite.
- CVE-2026-113969 — Umgehung der Ratebegrenzung für Versuche zur Eingabe des AirPlay-Kopplungscodes aus demselben Netzwerk.
- CVE-2026-113970 — ein use-after-free-Fehler, durch den ein Angreifer in Bluetooth-Reichweite den Speicher eines Prozesses beschädigen konnte.
Apple präzisiert nicht, welche Aktionen einem Angreifer nach einer unbefugten Kopplung zur Verfügung stehen.
Abdeckungsmatrix: Nicht alle Plattformen sind gleichermaßen geschützt
Ein wichtiger Aspekt dieses Updates ist die ungleichmäßige Verteilung der Patches über die Plattformen. iOS/iPadOS 27.2.1 (für das iPhone 11 und neuer sowie die angegebenen iPad-Modelle) und macOS Golden Gate 27.2.1 enthalten alle drei Gruppen von Korrekturen: iMessage, Brotli und Bluetooth/AirPlay. watchOS 26.6.1 umfasst jedoch nur die Bluetooth- und AirPlay-Updates — ohne Patches für iMessage und Brotli. Die Updates iOS 18.7.12 für iPhone XS, XS Max, XR und iPad der 7. Generation enthalten ebenfalls keine iMessage- und Brotli-Korrekturen.
Apple erläutert nicht, ob Geräte auf diesen Betriebssystemzweigen den genannten Schwachstellen unterliegen oder von vornherein nicht betroffen sind. Das Fehlen eines Patches im Sicherheitshinweis ist nicht gleichbedeutend mit dem Fehlen einer Schwachstelle.
Empfehlungen
- Aktualisieren Sie umgehend Geräte auf iOS/iPadOS 27.2.1 und macOS Golden Gate 27.2.1 — diese Versionen schließen alle acht Schwachstellen, einschließlich der kritischen CVE-2026-111497 mit CISA-KEV-Deadline 10. November.
- Aktualisieren Sie Apple Watch auf watchOS 26.6.1, um die Bluetooth- und AirPlay-Schwachstellen zu beheben.
- Für Geräte mit iOS 18.7.12, die keine iMessage- und Brotli-Korrekturen erhalten haben, bietet Apple keine Workarounds an. Die vollständige Liste der Updates ist auf der Seite der Sicherheitsveröffentlichungen von Apple verfügbar.
- Organisationen, die Brotli in ihrer Serverinfrastruktur einsetzen, sollten die Bibliotheksversionen in allen Produkten prüfen — die Schwachstelle betrifft nicht nur Apple, sondern jede Software, die Brotli in verwundbaren Versionen enthält.
Die Update-Priorität lässt sich leicht festlegen: CVE-2026-111497 in Brotli ist die einzige Schwachstelle dieses Pakets mit bestätigter Ausnutzung und einem kritischen CVSS-B-Rating von 9.2, und ihre CISA-KEV-Deadline ist bereits erreicht. Geräte mit iOS/iPadOS 27.2.1 und macOS Golden Gate 27.2.1 sollten daher zuerst aktualisiert werden, und für Geräte auf älteren Betriebssystemzweigen sollten zusätzliche Sicherheitshinweise von Apple beobachtet werden.
